F5 ha lanzado actualizaciones de seguridad para corregir una vulnerabilidad crítica de día cero (CVE-2026-94127) en BIG-IP APM que permite la ejecución remota de código. El fallo afecta a instancias configuradas como servidor de autorización OAuth y ya está siendo explotado activamente por atacantes. F5 recomienda aplicar los parches inmediatamente o usar medidas de mitigación temporales, mientras que la CISA ha urge a las agencias federales de EE. UU. a asegurar sus redes.

F5 ha lanzado actualizaciones de seguridad para solucionar una vulnerabilidad crítica de día cero en BIG-IP APM que está siendo explotada en ataques de ejecución remota de código.

BIG-IP APM (abreviatura de Access Policy Manager) es la solución de proxy de gestión de acceso centralizada de la empresa que ayuda a los administradores a asegurar el acceso a las redes, aplicaciones, nube e interfaces de programación de aplicaciones (API) de sus organizaciones.

Identificado como CVE-2026-94127, el fallo afecta a las instancias configuradas como un Servidor de Autorización OAuth cuando se configuran una política de acceso BIG-IP APM y un perfil OAuth en un servidor virtual.

"Hemos sabido que esta vulnerabilidad ha sido explotada", advirtió F5 en un aviso de seguridad publicado el martes. "Las implementaciones que utilizan APM estrictamente como un Cliente OAuth / Servidor de Recursos (sin perfiles de servidor de autorización OAuth configurados) no se ven afectadas por esta vulnerabilidad".

La empresa aconsejó a los clientes revisar los sistemas en busca de indicadores de compromiso si detectan una combinación de múltiples fallos de autenticación OAuth y comandos sospechosos, seguidos poco después por un TMM SIGABRT.

F5 también compartió medidas de mitigación para los administradores que no pueden instalar inmediatamente las actualizaciones de seguridad, las cuales requieren aplicar una iRule (disponible en el Soporte de F5) al servidor virtual de BIG-IP APM afectado.

La organización sin fines de lucro de monitoreo de amenazas de Internet, Shadowserver, rastrea actualmente más de 14,700 direcciones IP con huellas digitales de BIG-IP APM (Shadowserver). Sin embargo, no hay información sobre cuántas ya han sido parcheadas o son honeypots.

El martes, la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) también añadió el CVE-2026-94127 a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) y ordenó a las agencias federales de EE. UU. asegurar sus redes contra este fallo para el viernes (CISA).

"Estos tipos de vulnerabilidades son un vector de ataque frecuente para los actores cibernéticos maliciosos y plantean riesgos significativos para la empresa federal", advirtió la agencia de ciberseguridad.

Los grupos de cibercrimen y amenazas respaldadas por estados han explotado a menudo vulnerabilidades de F5 en años recientes. Por ejemplo, los atacantes han aprovechado fallos de seguridad en productos de F5 para vulnerar redes corporativas, secuestrar dispositivos, mapear servidores internos, desplegar malware de borrado de datos y robar documentos sensibles.

F5 también reveló en octubre de 2025 que hackers patrocinados por estados vulneraron sus sistemas en agosto de 2025 y robaron código fuente de seguridad y vulnerabilidades no reveladas de BIG-IP.

Desde noviembre de 2021, CISA ha señalado ocho vulnerabilidades de F5 explotadas activamente, cuatro de las cuales también han sido abusadas en ataques de ransomware.

F5 es una empresa Fortune 500 que proporciona ciberseguridad, redes de entrega de aplicaciones (ADN) y otros servicios a más de 23,000 clientes en todo el mundo, incluyendo 48 de las empresas Fortune 50 y el 80% de las Fortune Global 500.

Fuente:
BleepingComputer